CVE-2026-75000
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z nieprawidłową sanityzacją HTML/CSS atrybutu "by" animacji SVG, co może prowadzić do obejścia blokowania zdalnych obrazów, a w konsekwencji do ujawnienia informacji lub eskalacji uprawnień.
Ocena ryzyka
Ryzyko ujawnienia wrażliwych informacji lub eskalacji uprawnień poprzez obejście zabezpieczeń dotyczących zdalnych obrazów.
Rekomendacja
Zaleca się aktualizację Roundcube Webmail do wersji 1.6.18 lub 1.7.3 oraz wdrożenie dodatkowych filtrów treści.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, improper HTML/CSS sanitization of the SVG animate "by" attribute may lead to remote image blocking bypass, which in turn may lead to information disclosure or privilege escalation.